Есть ли недостатки в моем процессе обработки веб-сеансов?

Question

Хорошо, так как это работает пользователь выполняет проверку подлинности с помощью веб-формы и формирует идентификатор сеанса, как так:

sub session_open 
{ 
    my $sid; 
    my $user = shift; 

    if (open(SEMA, "> ../sema/sess")) 
    { 
     flock SEMA, LOCK_EX; 
     do 
     { 
      $sid = generate_session_id(); 
     } 
     while (-d "$SDIR/$sid"); 
     my $sstr = "$user:$ENV{'HTTP_USER_AGENT'}"; 
     write_file('>', "$SDIR/$sid", $sstr); 
     close SEMA; 
    } 

    return $sid; 
} 

идентификатор сеанса затем передается на каждой странице в URL, если файл сессии существует и проверки против его агента пользователя и удаленного адра позволяет пользователю продолжать:

sub check_sid 
{ 
    my $sid = shift; 
    return 0 if $sid =~ /[^\w\d]/; 
    return 0 if !open(SID, "< $SDIR/$pid"); 
    my ($user, $agent) = split /:/, <SID>, 2; 
    close SID; 
    return 0 if $agent ne $ENV{'HTTP_USER_AGENT'}"; 
    return $user; 
} 

на заднем плане у меня есть хроны запустить сценарий каждые 5 минут истекающих сессии 2 часа старые:

foreach (<../session/*>) 
{ 
    unlink $_ if -M $_ > 0.08333; 
} 

Есть ли недостатки, ненужные шаги, которые я предпринимаю здесь? Я решил использовать user_agent и remote_addr, так как было бы труднее подключить идентификатор сеанса someones.

Answer 1

Использование CGI::Session. См. Также CGI::Application::Plugin::Session.

• Состояние гонки в session_open.

• Включает ли ваш код обработки сеанса любую другую информацию сессии в файл сеанса?

• В check_sid у вас есть my $sid = shift;, но вы пытаетесь открыть "$SDIR/$pid".

• Даже если вы правильно назвали переменную, которая будет интерполирована в имя файла, есть очевидный недостаток, что вы не скрываете идентификатор сеанса (т. Е. Вы доверяете неконтролируемому вводу). Объедините это с тем фактом, что вы используете две аргумента формы open, и интересные возможности присутствуют.

В любом случае, нет причин для того, чтобы кто-либо писал код обработки сеанса. Работа выполнена для вас. Не изобретайте велосипед.

Answer 2

Вы не можете принять соответствие 1-1 между пользователями и IP-адресами. Несколько человек могут войти с одного и того же IP-адреса (за прокси-сервером). Может быть задействовано несколько IP-адресов (пользователь переходит через сбалансированный по нагрузке или обратный прокси-сервер).

Любая попытка смешать IP-адреса в схеме сеанса в конечном итоге сломается, когда вы меньше всего этого ожидаете, поэтому не делайте этого.

Если вы заботитесь о сеансах, используйте SSL.